アイデンティティー セキュリティ ポスチャー管理(ISPM)とは

最新のアイデンティティー インフラが攻撃に対して脆弱なのは、ネットワークに代わり、アイデンティティーが主要な攻撃対象領域となっているためです。アプリケーションはクラウド上に存在し、従業員は場所を問わずログインし、すべての接続が検証済みの単一のアイデンティティーに依存しています。攻撃者は、従来の境界型防御では阻止できるように設計されていなかった、認証情報を直接悪用する攻撃経路を手にしています。

ハイブリッド環境では、複雑さがさらに増します。急速なクラウド移行によって、アイデンティティー インフラがオンプレミスのActive Directory (AD)、Microsoft Entraアイデンティティー、Oktaに分散し、それらを統合的に把握できる仕組みがないケースも少なくありません。各プラットフォームには、それぞれ独自のアクセス権限、特有の動作、セキュリティ上の死角があります。今日の攻撃者は、こうしたプラットフォーム間の隙を悪用する手口に長けています。

リスクもますます高まっています。2026年版 Zscaler ThreatLabz AIセキュリティ レポートによると、3,400を超えるアプリケーションで組織におけるAI/MLトランザクションは前年比91%増加しました。組織が新たなAIツールを導入するたびに、認証に使用するアイデンティティーが必要になります。侵害された認証情報が機密性の高い独自データへの主要な侵入経路となっているため、AIとの統合のたびに、アイデンティティーを標的とする攻撃対象領域も拡大します。

従来のアイデンティティーの設定ミスに潜む危険性

従来のアイデンティティー ストア、特に特権を持つIT担当者や経営幹部のアカウントは、依然として組織環境内で最も標的にされやすい資産です。組織の90%超が認証にADを使用し続けており、デフォルト設定や数十年にわたって蓄積された設定がADを本質的に脆弱なものにしています。攻撃者はこのことを把握しており、ADの悪用に特化したツールキットを開発しています。

ディレクトリーの設定が不適切である場合、攻撃しやすい侵入経路が生まれます。Pass-the-Hashでは、攻撃者は盗み出したパスワード ハッシュを使って認証できるため、パスワードそのものを入手する必要がありません。Kerberoastingでは、セキュリティ対策が不十分なサービス アカウントに関連付けられたサービス チケットを要求し、攻撃者自身のハードウェアを使って暗号化された認証情報をオフラインで解読できます。どちらの手法も、最近監査されていないディレクトリーで特に効果を発揮します。

さらに、表面化しないままアイデンティティーに関する技術的負債が徐々に蓄積するという懸念もあります。退職した従業員のアカウントが何か月も有効なまま残っていたり、作成時のアプリケーションが廃止された後も、関連するサービス認証情報が残存していたりすることがあります。ユーザー権限が、承認された範囲を大幅に超えてしまうこともあります。こうした問題はそれぞれ、攻撃者の侵入口となりますが、多くの組織はそのような入口がいくつ存在するのかさえ把握していません。

ISPMは、環境内のすべての人間アイデンティティーと非人間アイデンティティーを継続的に検出し、それぞれについて設定ミスや過剰な権限を監査するとともに、その結果を単一のリスクベースのポスチャー スコアに変換します。ISPMは、検出、分析、修正を継続的に行うサイクルに複数の機能を統合しています。それぞれが固有の役割を担い、これらを組み合わせることで、アイデンティティーに関するリスクがどこに潜んでいるのかを明らかにします。

エンドツーエンドの可視性と検出

エンドツーエンドの可視性と検出とは、リスク分析を開始する前に、人間アイデンティティーと非人間アイデンティティーを含むすべてのアイデンティティーを特定し、カタログ化するISPMのプロセスです。セキュリティ部門は、可視化できる対象しか保護できません。そのため、ISPMは、AD、Entraアイデンティティー、クラウド インフラ プラットフォームに分散している従業員、請負業者、サービス アカウント、マシン アイデンティティーをインベントリー化します。

非人間アイデンティティー(NHI)の特定には、さらに注意が必要です。APIキー、自動化トークン、ワークロード アイデンティティーは、従来のディレクトリー ガバナンスの対象範囲外で運用されていることが少なくありません。ある開発者が週末のプロジェクト用にサービス アカウントを作成したとします。3年後になっても、そのアカウントには管理者レベルの権限が残っており、誰も監視していません。ISPMはNHIを可視化することで、ディレクトリー内のどのアイデンティティーも把握されないまま運用されることがないようにします。

ISPMにおける継続的な監査とポスチャー スコアリング

継続的な監査とポスチャー スコアリングとは、すべてのアイデンティティーの設定を24時間体制でスキャンし、検出結果を追跡可能な単一のリスク スコアに変換するISPMの機能です。検出によって存在するものを特定し、監査によって安全性を判断します。こうしたスキャンによって明らかになる一般的な問題には、以下のようなものがあります。

• 脆弱なパスワードや再利用されたパスワード
• 無効化された多要素認証(MFA)ポリシー
• 役割の変更や完全に実施されなかった退職手続きによって残存する古い権限構造

このスコアにより、IT部門とセキュリティ部門は進捗状況を追跡し、改善状況を経営陣に報告するための明確な基準を得られます。スコアの上昇はアイデンティティー管理が改善していることを示し、スコアの低下はインシデントに発展する前に新たなリスクを明らかにします。

攻撃経路と権限昇格の分析

攻撃経路と権限昇格の分析とは、アイデンティティー、権限、リソース間の関係をマッピングし、攻撃者が小さな脆弱性を連鎖させて完全な侵害に至る経路を明らかにするISPMの機能です。単一の設定ミスだけでは全体像を把握できないことが多いため、この機能が役立ちます。

たとえば、セキュリティ部門が誤って設定されたポリシーに対する権限を持つ低権限アカウントを発見したとします。このアカウントだけを見ると、無害に見えます。別のドメインとの休止状態の信頼関係が組み合わさると、ドメイン管理者権限に到達できる可能性があり、小さな問題が重大な攻撃経路へと変わります。攻撃経路を可視化することで、セキュリティ部門はリスクの低い問題を一律に修正するのではなく最もリスクの高い接続を優先して修正できます。

適応型のリスクベースの施行

適応型のリスクベースの施行では、脆弱性が明らかになった時点で手動によるフォローアップを待つことなく追加の制御を自動的に発動します。こうした制御には、以下のようなものがあります。

• リスクレベルに基づいて機密性の高い領域へのアクセスを制限
• 権限昇格を求める異常なリクエストを特定
• リアルタイムのポスチャー データをゼロトラスト ポリシーに反映

これにより、検出から修正までのクローズドループ プロセスが構築され、アイデンティティーの改善を年1回の取り組みではなく、日常業務の一部として実施できるようになります。

ISPMは、IAMがが提供するアクセスの施行とIGAが提供するガバナンスに、継続的なポスチャー分析を追加することで、アイデンティティー スタックに統合されます。どちらかの役割を置き換えるのではなく、ログイン時の認証と、その後もアクセスが安全な状態に保たれていることの確認との間を担います。

ISPMとIAMの違い

ISPMとIAMは、対象とする範囲が異なります。IAMは、ログイン時に誰がアクセスできるかを管理し、組織のユーザー アカウントを管理するとともに、シングル サインオン(SSO)やMFAによってアクセスを検証します。ISPMは、すでに認証されたアイデンティティーの権限が引き続き安全な状態にあるかどうかを継続的に確認します。

IAMだけでは、アイデンティティーに関する脅威から保護することはできません。IAMはログイン時に認証情報を検証しますが、そのアカウントに過剰な権限が付与されているかどうかを判断することはできません。適切なMFAを使用してログインした認証済みの従業員が、もはや必要としていない管理者権限を保持している可能性もあります。IAMから見ると問題がないため、IAMはその従業員を毎回承認します。

ISPMとIGAの違い

ISPMとIGAは、実施頻度が異なります。IGAは、自動化されたプロビジョニングと定期的な認証レビューによってアクセスを管理します。これにより、コンプライアンス部門は、どのアクセスがいつ承認されたかを記録として確認できます。ISPMは継続的に実行され、承認されたアクセスがレビュー サイクルの間も安全な状態を維持しているかどうかを評価します。

IGAのレビューは主に手動で行われ、月次または四半期ごとに実施されるため、次回のレビューまでの数週間、高リスクの権限が検出されないまま残る可能性があります。

これに対してISPMは、次回の定期レビューを待つのではなく、ディレクトリー設定に対するポスチャー分析を継続的かつ自動的に実施します。IGAは「このアクセスを承認したか」と問い、ISPMは「このアクセスは現在、安全なのか」と問いかけます。

これら3つの領域を組み合わせることで、アイデンティティーを包括的に支えるスタックが形成されます。IAMは誰がアクセスできるかを制御し、IGAは誰がアクセス権を持つべきかを管理し、ISPMは攻撃者が防御をすり抜けるために悪用する設定ミスが基盤となるインフラに存在しないことを確認します。

攻撃経路の自動化は、検出から侵害までの時間を大幅に短縮することで、アイデンティティー セキュリティを脅かします。攻撃者はAIツールを悪用し、数秒でADの構造をマッピングし、ドメイン管理者権限に到達する最短経路を特定して防御側が対応する前に移動します。

侵害されたNHIによって、リスクはさらに高まります。1つのAPIキーが悪用されたり、忘れられた自動化トークンが悪用されたりするだけで、気付かれにくいバックドアが開かれる可能性があります。このようなバックドアでは、人間のアカウントであれば発生するようなログイン アラートがほとんど発生しません。

最も対策が難しいのは、攻撃のスピードです。ThreatLabzの調査によると、組織向けAIシステムのレッド チーム演習では重大な障害に至るまでの時間の中央値が16分であり、90%のシステムが90分以内に完全に侵害されたことが判明しました。事後対応的なセキュリティ対策では、このスピードに追いつけません。組織には、侵害が始まる前に脆弱性を解消する予防的なポスチャー管理が必要です。

ISPMは、継続的な設定の強化、自動化された権限の修正、リアルタイムの脅威検出を組み合わせることで、高速で進む脆弱性の悪用に対応します。これらの対策によって、自動化された攻撃者が依存する隙を攻撃開始前に解消するとともに、アクティブな脅威が出現した瞬間に検知できます。

ISPMとアイデンティティー脅威の検知と対応(ITDR)の統合

ISPMとアイデンティティー脅威の検知と対応(ITDR)は、アイデンティティー防御を相互に補完する2つの領域に分担することで統合します。ISPMは、攻撃者に悪用される設定ミスを解消し、アイデンティティーの設定を予防的に強化します。ITDRは、攻撃者がすでに環境内に侵入している場合に進行中の脅威をリアルタイムで検知し、隔離します。

ISPMとITDRの2つのプラクティスを組み合わせることで、アイデンティティーを包括的に防御するループが構築されます。ISPMから得られるポスチャーに関するインサイトがITDRの軽減策に直接反映されるため、対応部門はアラートが発生する前から、どのアカウントが最も高いリスクを抱えているかを把握できます。2つの分断されたツールを使用するのではなく、セキュリティ強化と対応を継続的に行う1つのサイクルを実現できます。

過剰な権限の自動修正

権限は気付かないうちに蓄積します。ユーザーが役割を変更すると、プロジェクトのために一時的なアクセス権を取得します。プロジェクトが終了しても、そのアクセス権は残ったままです。そのアカウントが侵害されると、蓄積されたすべての権限が攻撃者に悪用される恐れがあります。

ISPMは、自動修正によってこの問題に対処します。不要な権限を特定し、それらを必要としなくなったユーザーのアクセス権を取り消します。恒常的に付与されている権限を減らすことで、脅威アクターが悪用できる権限も減らせます。

ゼロトラストの原則をディレクトリー設定に拡張

ゼロトラストは通常、ネットワーク アクセスに適用されますが、「決して信頼せず、常に検証する」という考え方はディレクトリーにも適用できます。

ISPMは、すべての設定、信頼関係、委任された権限を検証することで、ゼロトラストのセキュリティの原則をログイン画面の先、つまり認証されたユーザーが実行できる操作を決定するディレクトリーにまで拡張します。

ISPMを効果的に導入するには、いくつかの手順を着実に実行することが重要です。以下の手順に従うことで、概念段階から、アイデンティティー ポスチャーを測定可能な形で強化する段階に移行できます。

1. ディレクトリーの可視性の統合：オンプレミスのADを、Microsoft EntraアイデンティティーやOktaなどのクラウド ネイティブ システムに接続し、複数の分断されたビューではなく、すべてのアクティビティーを1つのダッシュボードに表示できるようにします。
2. シャドー アイデンティティー ストアの探索：継続的な資産検出を実行し、公式のガバナンス対象外で独立した開発者やサードパーティーのSaaS統合によって作成されたディレクトリーを特定します。こうしたアイデンティティー ストアは監視が不十分なことが多いため、悪用される可能性が高くなります。
3. 権限の継続的な削減：ISPMのデータを使用し、ユーザー アカウントやサービス アカウントから過剰な権限を削除し、すべてのアカウントに最小特権アクセスを適用します。
4. 孤立した認証情報の排除：所有者が存在しないサービス アカウントや使用されていない認証情報を監査し、他者に悪用される前に削除します。
5. 設定アラートの自動化：設定変更がセキュリティ ベースラインから逸脱した瞬間に、ディレクトリー管理者に通知します。
6. ポスチャー スコアの継続的な追跡：ISPMスコアを組織全体のセキュリティ状態ではなく、アイデンティティー ポスチャーをリアルタイムに測定する指標として扱います。定期的にセキュリティ部門と確認し、リスクの排除に向けて進展していることを確認します。

これらの手順は相互に積み重なります。可視性によって全体像を把握し、権限の削減によってリスクを排除し、アラートによって改善した状態を維持できます。これにより、一度限りの導入ではなく、脅威の進化に応じてアイデンティティー インフラのセキュリティを強化し続ける継続的な取り組みへとつながります。

Zscaler Identity Protection (Zscaler ITDR)は、ADとハイブリッド アイデンティティー ストアを継続的に監査して設定ミスを特定し、リスク スコアに基づくポスチャーを可視化するとともに、Kerberoastingなどの攻撃をリアルタイムで検知します。Zscaler Zero Trust Exchange™プラットフォームとネイティブに統合されています。

DSPMの主な機能は以下のとおりです。

• Active Directory (AD)とEntra IDのセキュリティ態勢の継続的な監査：Zscaler ITDRは、オンプレミスとハイブリッドのアイデンティティー ストアを24時間体制でスキャンし、攻撃者に発見される前に、設定ミス、長期間使用されていない権限、露出した認証情報を検出します。
• アイデンティティー攻撃のリアルタイム検知：このプラットフォームは、Kerberoasting、Pass-the-Hash、DCSyncなどの手法を発生と同時に検知し、侵害の発生から対応までの時間を短縮します。
• アイデンティティー リスクの一元化されたスコアリング：Zscaler ITDRは、分散した検出結果を単一の追跡可能なセキュリティ態勢スコアに集約し、IT部門とセキュリティ部門が経時的に状況を把握し、報告できるようにします。
• Zero Trust Exchangeとのネイティブ統合：ポスチャーと脅威に関するデータを適応型のゼロトラスト ポリシーに直接反映し、Zscaler Zero Trust Exchange全体で、アイデンティティーに関するリスクをリアルタイムのアクセス判断に活用できるようにします。
• 非人間アイデンティティーのカバー：Zscaler ITDRは、従来のアイデンティティー ツールでは通常見落とされがちなサービス アカウント、APIキー、ワークロード アイデンティティーまで可視性を拡張します。

デモを依頼して、Zscaler ITDRがアイデンティティーのセキュリティ態勢改善を支援する仕組みをご確認ください。